Ángel Ortega Castro. Consultor ENS independiente, trabajo desde dos bases —Valladolid y Las Palmas—, doy cobertura remota a empresas de toda España y me sumo de forma presencial en los proyectos que lo piden. Acompaño a empresas de Almería y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Junta de Andalucía, el Ayuntamiento de Almería, la Diputación Provincial o la Universidad de Almería (UAL) sin quedar excluidas de los pliegos.
Almería no es una ciudad cualquiera dentro del mapa de la contratación pública en España. Es sede de la Universidad de Almería (UAL) y del Parque Científico-Tecnológico de Almería (PITA), parque de referencia en agrotecnología en España que reúne ya más de 80 empresas y 2.500 trabajadores en su sede de El Alquián, además de un enclave científico dentro del propio campus universitario donde conviven centros como la Estación Experimental de Zonas Áridas (EEZA-CSIC), el Centro de Investigación en Energía Solar (CIESOL) o el centro tecnológico del IFAPA (Instituto de Investigación y Formación Agraria y Pesquera de Andalucía). Junto a ese polo agrotecnológico, la economía de la provincia gira en gran medida en torno a la agricultura intensiva bajo plástico del Poniente Almeriense —el llamado «mar de plástico» de El Ejido, Roquetas de Mar, La Mojonera, Vícar y Níjar, con más de 30.000 hectáreas de invernaderos—, un sector que según los estudios de Cajamar representa alrededor de un tercio del PIB provincial y que se articula comercialmente a través de cooperativas y organizaciones de productores agrupadas en COEXPHAL. A ello se suma el Puerto de Almería, gestionado por la Autoridad Portuaria de Almería —que administra también el Puerto de Carboneras— y que concentra buena parte del tráfico de pasajeros con el norte de África, además de un papel logístico relevante para la exportación hortofrutícola. Buena parte de ese tejido tecnológico, agroalimentario y portuario trabaja o aspira a trabajar con el sector público, y ahí el Esquema Nacional de Seguridad se convierte en un requisito ineludible.
Aunque la sede central de la Junta de Andalucía está en Sevilla, en Almería la Junta mantiene una actividad administrativa intensa a través de su Delegación del Gobierno y de las delegaciones territoriales de sus distintas consejerías —Economía, Hacienda, Fondos Europeos e Industria; Fomento, Articulación del Territorio y Vivienda; Turismo, Cultura y Deporte; Presidencia, Interior, Diálogo Social—, así como del Servicio Andaluz de Salud (SAS), que gestiona el Hospital Universitario Torrecárdenas, centro de referencia provincial vinculado a la UAL para la formación de estudiantes de Medicina, Enfermería y Fisioterapia. La coordinación técnica del ENS dentro de la Junta corresponde a la Agencia Digital de Andalucía (ADA), que elabora los pliegos tipo de contratación TIC y gestiona sistemas con certificación de conformidad ENS como SUR, GIRO o NOTIFICA. Todos ellos son organismos que gestionan sistemas de información sujetos al ENS y trasladan esa obligación a sus proveedores tecnológicos.
A ello se suman dos grandes organismos contratantes de base local: el Ayuntamiento de Almería, con su propia agenda de administración electrónica y licitaciones de software, conectividad y ciberseguridad; y la Diputación Provincial de Almería, con sede en la calle Navarro Rodrigo, que da soporte tecnológico a los municipios de la provincia. La Universidad de Almería (UAL), fundadora y socia del PITA, opera sistemas sensibles —expedientes académicos, plataformas de investigación, administración electrónica propia— y tiene la misma obligación de cumplir el ENS que cualquier otra entidad del sector público. Alrededor de este ecosistema de administraciones, centros de investigación y el propio puerto se ha desarrollado un tejido de empresas TIC y agrotech que trabajan o aspiran a trabajar con alguno de estos organismos. Para todas ellas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de las consejerías, la Delegación del Gobierno en Almería y el Servicio Andaluz de Salud exigen conformidad con el ENS, coordinada por la Agencia Digital de Andalucía. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Almería y la Diputación Provincial incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
La Universidad de Almería y las empresas agrotecnológicas del Parque Científico-Tecnológico de Almería que colaboran con centros públicos de investigación están sujetas al ENS o lo trasladan a sus proveedores.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial ante la Administración andaluza.
Antes de avanzar, conviene tener claro el marco: en la guía ENS completa lo explico paso a paso, y en la página de consultoría ENS para empresas puedes ver cómo trabajo el servicio en detalle.
El ENS es obligatorio para el sector público y para las empresas privadas que le prestan servicio por contrato. En Almería y su provincia, esa obligación alcanza a un número creciente de empresas.
Estos son los perfiles que veo con más frecuencia:
El RD 311/2022 dio 24 meses a los sistemas preexistentes para adecuarse; ese plazo venció el 5 de mayo de 2024. Los sistemas nuevos cumplen desde el primer día, sin margen. Si aún no has empezado, cada licitación publicada en el perfil del contratante es una oportunidad que se te escapa.
Sigo el orden de las guías CCN-STIC: del diagnóstico inicial a la declaración de conformidad o la auditoría. Llegas con documentación sólida, lista para presentar ante la Junta de Andalucía, el Ayuntamiento de Almería o cualquier otro organismo contratante.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con lo que exige el ENS y delimito el alcance: qué sistemas de información entran en el proyecto. | Informe de diagnóstico con las brechas prioritarias y la distancia real hasta el cumplimiento. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— y fijo su categoría: básica, media o alta. | Documento conforme al Anexo I del ENS, que marca el nivel de exigencia y la vía de conformidad que te corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de riesgos con su plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y justifico cada control en la Declaración de Aplicabilidad (DdA). | Siguiendo la guía CCN-STIC 806: plan de adecuación completo y base de la declaración de conformidad. |
| Fase 05 Implantación | Desplegamos juntos las medidas del Anexo II —marco organizativo, operacional y de protección— y acompaño a tu equipo paso a paso. | Evidencia documentada de cada medida implantada, lista para que la revise un auditor. |
| Fase 06 Conformidad final | Reviso todo antes de la meta. Categoría básica: apoyo a la declaración autoevaluada. Categoría media o alta: te acompaño durante la auditoría de la entidad acreditada. | Documentación conforme al Anexo III. Yo preparo la conformidad; en media y alta, quien certifica es un tercero acreditado por ENAC. |
La categoría no se decide a ojo. Se calcula midiendo el impacto de un incidente en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. Gana la dimensión con el nivel más alto.
Un incidente aquí causaría un perjuicio limitado a tus funciones, tus activos o las personas. Es la categoría más habitual entre proveedores de servicios auxiliares.
Aquí un incidente supondría un perjuicio grave: al menos una dimensión llega al nivel medio. Típico de sistemas de gestión administrativa o con datos sensibles.
Un incidente aquí sería muy grave, incluso irreparable: alguna dimensión alcanza el nivel alto. Es la categoría de los sistemas críticos o con datos especialmente sensibles.
En categoría básica acreditas la conformidad con una declaración autoevaluada: tu propia organización verifica el cumplimiento según las guías CCN-STIC. Preparo contigo la documentación y las evidencias para que esa declaración aguante cualquier revisión del organismo contratante.
En categoría media o alta, la conformidad exige certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi trabajo es dejarte preparado para superarla; quien certifica es la entidad acreditada, nunca el consultor.
Nada de un PDF que se archiva y no se vuelve a abrir. Entrego el cuerpo documental y técnico que sostiene la conformidad: lo que el auditor, la Junta de Andalucía, el Ayuntamiento de Almería o cualquier otro organismo contratante espera encontrar en tu expediente de licitación.
Soy Ángel Ortega Castro, consultor independiente de cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y Las Palmas, trabajo en remoto con empresas de toda España y me desplazo cuando el proyecto lo pide —también a Almería y al resto de Andalucía—. Conozco de cerca la licitación pública andaluza: sus plazos, sus pliegos y lo que exigen organismos como la Junta de Andalucía, el Ayuntamiento de Almería, la Diputación Provincial de Almería, la Universidad de Almería (UAL) o la Autoridad Portuaria de Almería.
Trabajo con acompañamiento real, persona a persona. No entrego un manual y desaparezco: estoy contigo en cada fase, convierto la norma en decisiones concretas y dejo a tu equipo capacitado para mantener la conformidad cuando el proyecto termina.
Soy claro sobre lo que puedo hacer y lo que no: preparo y adecúo tu organización hasta la conformidad; en categoría media o alta, quien certifica es una entidad acreditada por ENAC, nunca yo. Esa honestidad, sumada al rigor sobre la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), me distingue de las consultoras genéricas.
Pymes tecnológicas instaladas en el Parque Científico-Tecnológico de Almería (PITA) que prestan servicios de software, sensórica o análisis de datos a centros como el IFAPA o la Estación Experimental de Zonas Áridas (EEZA-CSIC), y necesitan acreditar conformidad con el ENS para mantener o ampliar esos convenios. Suelen estar en categoría básica o media.
Proveedores TIC que dan soporte a los sistemas de gestión, sede electrónica o ciberseguridad de la Autoridad Portuaria de Almería, organismo público estatal que gestiona el Puerto de Almería y el Puerto de Carboneras. Como entidad del sector público, traslada a sus contratistas la obligación de acreditar conformidad con el ENS.
Integradoras y consultoras de Almería o la provincia que prestan servicios de mantenimiento, ciberseguridad o soporte TIC al Ayuntamiento de Almería, la Diputación Provincial o la Universidad de Almería (UAL), y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
No existe una cifra estándar. Desconfía de quien te la dé sin conocer tu caso. Lo que pagas depende del alcance —cuántos sistemas entran—, de la categoría —básica, media o alta—, de tu punto de partida y de si necesitas certificación acreditada o te basta la declaración de conformidad.
En categoría media o alta hay que sumar el coste de la entidad certificadora acreditada por ENAC. Es una factura aparte, del tercero que audita la conformidad, independiente de mis honorarios.
Sí. La Junta de Andalucía, como administración autonómica, está plenamente sujeta al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC, también a través de su Delegación del Gobierno en Almería, de las delegaciones territoriales de sus consejerías y del Servicio Andaluz de Salud (SAS). La coordinación técnica corresponde a la Agencia Digital de Andalucía (ADA). Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus organismos dependientes, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Autoridad Portuaria de Almería es un organismo público estatal que gestiona el Puerto de Almería y el Puerto de Carboneras, y como tal sus sistemas de información —sede electrónica, gestión portuaria, control de tráfico marítimo— están sujetos al ENS. Los proveedores TIC que participan en el mantenimiento o modernización de esos sistemas deben acreditar conformidad con el RD 311/2022.
Sí. Tanto el Ayuntamiento de Almería como la Diputación Provincial de Almería son entidades locales sujetas al ENS por el RD 311/2022. Pueden —y cada vez lo hacen con mayor frecuencia— incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC. Si tu empresa trabaja o quiere trabajar con alguna de estas entidades, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Depende de con quién contraten. Centros como el IFAPA (Instituto de Investigación y Formación Agraria y Pesquera de Andalucía) o la Estación Experimental de Zonas Áridas (EEZA), del CSIC, están vinculados a administraciones públicas y, en la medida en que gestionan sistemas de información del sector público, pueden trasladar la exigencia del ENS a las empresas que les prestan servicios TIC, de sensórica o de análisis de datos. Conviene revisar caso por caso el contrato y el sistema afectado antes de asumir automáticamente el requisito.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Junta de Andalucía, el Ayuntamiento de Almería o la Diputación Provincial, lo que el pliego exige es el ENS.
Hablamos sin coste ni compromiso sobre tu situación en Almería: qué alcance tiene tu proyecto, qué categoría previsible tendrán tus sistemas y qué tipo de contratación buscas. Si veo que puedo ayudarte, te envío una propuesta cerrada; si no encajamos, sales de la llamada con una orientación clara para arrancar por tu cuenta.